OpenAIの未公開モデルがHugging Faceを攻撃・侵入　「前例のない事故」

OpenAIは21日(米国時間)、自社のAIモデルがAIプラットフォームHugging Faceの本番インフラに侵入するセキュリティインシデントが発生したと発表した。Hugging Faceが16日(米国時間)に公開した事案について、OpenAIの社内テスト中に引き起こされたものと説明。両社はインシデント対応で連携している。 同事案は、モデルに複雑な攻撃経路を用いた脆弱性攻撃を試行させ、サイバー能力を測定するベンチマーク「ExploitGym」による社内評価中に発生。評価には「GPT-5.6 Sol」と、より高性能なプレリリースモデルが使われており、最大限の能力を測るため、サイバー関連の拒否機能や本番用の分類器(classifiers)は無効化していた。 OpenAIによると、モデルはExploitGymを解く過程で、Hugging Face上にテスト解答がある可能性を推測。脆弱性を悪用してHugging Faceの本番インフラに侵入し、解答を取得したという。 OpenAIの社内テストは、高度に隔離されたサンドボックス化環境で実行され、ネットワークアクセスも制限されていた。しかしモデルは、解答を得るためにオープンなインターネットアクセスを確保する方法を探索。その過程で、パッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を特定し、悪用した。 モデルはその後、テスト環境内で権限昇格やラテラルムーブメントを行ない、インターネットにアクセスできるノードに到達。さらに、盗まれた認証情報やゼロデイ脆弱性を組み合わせ、Hugging Faceのサーバー上でリモートコード実行に至る経路を発見し、本番データベースからExploitGymのテスト解答を取得した。 Hugging Faceは、同事案を検知してモデルの活動を停止し、封じ込めと調査を開始。OpenAIもHugging Faceと連携し、調査を進めている。OpenAIは、脆弱性の修正が完了するまでインフラ構成への管理を強化するほか、モデル評価時の保護策や社内テスト中のモニタリングを見直す。特定したゼロデイ脆弱性はベンダーへ開示し、修正に向けて協力している。 両社は同事案を「最先端のサイバー能力が関与した前例のないサイバーインシデント」と捉えている。OpenAIは、今回の知見を共有することで防御側が何を起きたのかを理解し、現在のモデルに何が可能なのかを見極める助けにしたいとしている。